Zwei kritische Schwachstellen in Azure-nahen Diensten

Im Rahmen des #Microsoft Patchday im September 2025 wurden zwei besonders kritische #Sicherheitslücken veröffentlicht, die Azure-nahe Komponenten betreffen. Organisationen, die Azure Automation oder Azure AD Connect (Entra ID Synchronisation) einsetzen, sollten dringend handeln.

CVE-2025-29827 – Azure Automation Runbook Execution Engine

Betroffene Komponente:
Azure Automation Runbook Execution Engine, insbesondere bei Einsatz von Hybrid Worker Nodes oder lokal ausgeführten Runbooks.

Risiko:
Ein lokal authentifizierter Angreifer kann manipulierte Runbooks nutzen, um Systemrechte zu erlangen.

Erforderlicher Patch:

• Sicherheitsupdate KB50329827 für Windows Server 2019/2022 auf Hybrid Worker Nodes.
• Aktualisierung der Runbook Engine über das Azure Portal oder PowerShell (Update-AzAutomationAccount).

Empfohlene Maßnahmen:

• Runbooks auf verdächtigen Code prüfen.
• Audit-Logs aktivieren.
• Least-Privilege-Prinzip für Runbooks durchsetzen.

CVE-2025-29972 – Azure AD Connect (Entra ID Synchronisation)

Betroffene Komponente:
Azure AD Connect, das für die Synchronisation zwischen lokalem Active Directory und Azure AD (Entra ID) verwendet wird.

Risiko:
Ein Angreifer kann durch manipulierte Synchronisationsprozesse administrative Rechte erlangen.

Erforderlicher Patch:

• Sicherheitsupdate KB50329972 für Azure AD Connect (mindestens Version 2.1.20.0).
• Aktualisierung des Azure AD Connect Health Agent über Microsoft Update oder manuell.

Empfohlene Maßnahmen:

• Sync-Konten auf unnötige Rechte prüfen.
• Multi-Faktor-Authentifizierung (MFA) aktivieren.
• Audit-Logs für Synchronisationsaktivitäten aktivieren.

Fazit

Die beiden Schwachstellen zeigen, wie wichtig es ist, auch Cloud-nahe Dienste wie Azure Automation und Azure AD Connect regelmäßig zu patchen und abzusichern. Unternehmen sollten die genannten Updates zeitnah installieren, idealerweise innerhalb von 7 Tagen nach Veröffentlichung, wie es auch in internen Sicherheitsrichtlinien empfohlen wird.

veeam Sicherheitslücke mit Score 9.9

Kurz notiert, aber #wichtig - Diesmal ist bei der CVS Meldung von veeam die vielfach von Ihnen eingesetzte Backup und Recovery Software gemeint. Darin wurde eine kritische Sicherheitslücke entdeckt und mit Version 12.3.1.1139 geschlossen.

Auch wenn Sie schon die Version 12.3 installiert haben, ist das Update auf die oben angezeigte Version dringend erforderlich - erst recht, wenn ältere Versionen mit noch mehr bekannten Sicherheitslücken installiert und in Betrieb sind.

On-Prem vs. Azure IaaS - Vergleich

Welche Voraussetzungen müssen zu einem korrekten 1:1 Vergleich zwischen Azure IaaS #Cloud und On-Prem-Serverbetrieb herangezogen werden?

1. Server-Hardware
   Hochverfügbarkeit (wie in Azure) erfordert mindestens zwei Virtualisierungs-Hosts und einen Backup-Server, sowie ein Backup NAS und Tape Laufwerk mit Bändern
   Ersatz defekter Komponenten: Wartungsvertrag mit Hersteller für 5 Jahre VO 4h Wiederherstellungszeit 24x7
   alle fünf Jahre mindestens drei Server und ein Storage-System neu kaufen
   Erweiterungsmöglichkeiten wärend der Laufzeit oder größer dimensionieren
2. upgradefähige Lizenzen mit Software Assurance
   Windows Server Betriebssysteme und SQL-Lizenzen m üssen als CSP Subscription mit Software-Assurance erworben werden. ROK/OEM-Lizenzen können nach wenigen Jahren wegen Abhängigkeiten zu anderer Software ersetzt werden müssen.
   (Beispiel: Business Central Version 2025 erfordert Windows Server 2022!. Wer ROK/OEM 2019 Datacenter einsetzt, muss komplett neu kaufen)
   SQL und Office 201x ebenso. Kauflizenzen müssen 5 Jahren nach Erscheinen der Version oder nach Softwareabhängikeit vorher ersetzt werden.
3. Unterbrechungsfreie Stromversorgungen
   Die Wartung der Diesel-Generatoren oder der Austausch der Akkus.
4. Netzwerk
   Kabeltrassen zum Serverraum nicht redundant, keine zwie Wege-Führung, Patchfelder, Verkabelung, Switches, Transceiver Module
5. WAN-Leitungen, Showstopper Störung Hauptstelle
   Vernetzung meist sternförmig zur On-Prem Hauptstelle. Fällt dort die Technik oder Leitungen aus, kann kein Standort arbeiten. Bei Cloud sind alle Standorte sternförmig und redundant mit Azure verbunden.
6. Storage
   Eternus oder NetApp benötigt - RAID, Full Flash Server-SSDs, Geschwindigkeit der Datenträger nicht skalierbar!
7. IT-Security
   eine CloudGen Firewall, virtuell, hochverfügbar, Standorte vpn-Router (Verwlatungsaufwand wird wesentlich reduziert).
8. Datensicherung: mindestens 8 Stunden pro Monat
   Backup-Server in einem anderen Brandabschnitt erfordert einen zweiten Serverraum, der die Anforderungen des ersten abreckt.
   Lagerung von passiven Offline-Medien außerhalb des Grundstücks
   Sicherstellung der kontinuierlichen Funktionsweise der Infrastruktur als auch in garantierten Störungsbehebungen im Notfall.
   Arbeitszeit: Syskos benötigen zusätzliche Zeit zum Kontrollieren, Auslagern und Durchführen der #Datensicherung
9. Zwei Serverraüme in zwei Brandabschnitten: Einmalkosten: durchschnittlich 14.000 €
   Serverräume Klimatisierung (und Wartung des Geräts) (Im RZ sind Klimaanlagen zusätzlich redundant)
   Brandfrühesterkennung und Brandlast
   Mindestens T30 Türen, nicht brennbarer Boden, Wände mit F60 Brandschutz
   Löschanlagen (mind. richtig dimensionierten CO2 Löscher und Wartung, Rauchmelder, Brandmeldezentrale mit Alarmierung)
   ISO Zertifizierung nach Rechenzentrum Standards (Sicherheit, (physische oder IT), gegenüber On-Premise deutlich überlegen)
10. Physische Absicherung: bauliche Mängel abstellen, Einmalkosten: rund 8.000 €
    Zutrittskontrolle, Videoüberwachung, Einbruchmeldeanlage, Fenster vergittert, Alarmanlage
11. Stromverbrauch - Energiekosten: > 8 kWh (mind. 4.000 € / Monat)
    Ein kleiner 12qm Serverraum in Mindestkonfiguration hat einen Stromverbrauch von mindestens 6,5 kWh inkl. Klimatisierung) Dazu kommen die Energiekosten für den zweiten (Backup) Raum mit mindestens 3 kW
12. Stromverbrauch - Energiekosten: > 8 kWh (mind. 4.000 € / Monat)
    Ein kleiner 12qm Serverraum in Mindestkonfiguration hat einen Stromverbrauch von mindestens 6,5 kWh inkl. Klimatisierung) Dazu kommen die Energiekosten für den zweiten (Backup) Raum mit mindestens 3 kW

[ddownload id="78542"]

Microsoft hat auch einen TCO-Rechner unter diesem Link.

Wer Äpfel mit Äpfeln vergleichen möchte, (also nicht einen Dacia Spring mit einem VW ID5 vergleicht), berücksichtige die oben genannten Punkte in seiner Vergleichskalkulation.

Gruppenrichtlinien – Central Store

Für viele Anwendungen sind Gruppenrichtlinien verfügbar, mit denen man zentral in der Domäne (oder in der AAD-Verwaltung in Azure) Einstellungen für die Software verteilen kann.

Am Beispiel von Google Chrome für Enterprise und Microsoft Edge für Business zeige ich kurz die Vorbereitungen, um diese Richtlinien zu benutzen. #FAQ

Laden Sie dazu zunächst die Richtlinien-Pakete herunter und entpacken sie. Im Entpackten finden Sie jeweils einen Ordner ADMX mit Unterordnern. Um die Inhalte der ADMX-Ordnerstruktur geht es.

Wechseln Sie auf einem der Domänencontroller in den folgenden Pfad (meist auch unter c:windowsSYSVOL im Windows Explorer erreichbar):

\domainname.localSYSVOLdomainname.localPoliciesPolicyDefinitions

Gibt es noch keinen Ordner „PolicyDefinitions“, legen sie ihn bitte an.

Alles, was im jeweiligen ADMX Ordner (nicht den Ordner selbst, sondern nur Inhalte und Unterordner) ist, in diesen Ordner kopieren, dabei vorhandene Dateien und Verzeichnisse überschreiben.

Warten, bis die Richtlinien auf alle Domänencontroller gespiegelt wurden.

• Gruppenrichtlinien-Verwaltung auf einem der DCs öffnen
• eine neue Richtlinie erstellen (empfohlen: jeweils eine für Chrome Enterprise und eine für Edge Business)
• die Richtlinien im GP-Editor bearbeiten, dafür die neuen Richtlinien für Chrome und Edge lokalisieren und benutzen.

Temperatur in Server- und Technikräumen

Die #Temperatur im Serverschrank nicht außerhalb des Temperaturbereichs von 18°C bis 24°C liegen.
Auch wenn moderne Server ein verbessertes Abwärmekonzept (wie FUJITSU Cool-Safe) haben, sind nicht alle anderen technischen Geräte immer auf dem neusten Stand, sondern bis zu 6 Jahre alt (oder sogar älter).

Daher sind Server-Hersteller-Empfehlungen, die Server bei 25-27 °C zu betreiben, mit Vorsicht zu betrachten.

Das #BSI empfiehlt keine konkreten Werte, schreibt aber, dass ausreichend Kühlleistung gemessen an der Wärmeleistung der Server vorhanden sein muss, um sicheren Dauerbetrieb der Geräte zu erreichen.
Die Luftfeuchtigkeit sollte bei etwa 45-55% liegen.

Aus Energie-Effizienz-Gründen haben sich de Werte 22°C bei 50% relativer Luftfeuchte etabliert.

Bei dieser Temperatur (messbar und dokumentiert als „Ambient“ im FUJIUSU IRMC oder HP ILO) arbeiten Netzwerkgeräte optimal und haben eine lange Lebensdauer.
(Hintergrund: Muss mehr warme Abluft von den elektronischen Komponenten abgeführt werden, drehen die Lüfter mit bis zu Maximaldrehzahl. Vergleichbar mit einem Turbolader im Auto, der ständig unter Vollast läuft und daher schneller defekt ist.

Elektronische Geräte erzeugen Wärme. Sofern die Wärmeableitung nicht ausreicht und die Luft nicht entweichen kann, sondern sich im Schrank staut, kann es zur Überhitzung kommen. Die Temperatur hat einen direkten Einfluss auf die Leistung und Zuverlässigkeit Ihres Servers und anderer Netzwerkgeräte wie Telefonanlagen, Switches, Router, USV).

Zu hohe Temperaturen können zu Störungen und Ausfällen führen. Eine Temperatur ab 30°C verdoppelt die Ausfallrate. Und ab 40°C ist die Gefahr 4-mal so groß. Zudem können hohe Temperaturen dauerhafte Schäden an den Geräten verursachen.

WSUS Einstellung am 18.04.2025

[time_until date="18.04.2025"]

Am 18. April 2025 wurde von Microsoft im Kontext von WSUS (Windows Server Update Services) keine komplette Einstellung des Dienstes vorgenommen, sondern es gab wichtige Änderungen im Support und in der Weiterentwicklung.

Hier ist eine differenzierte Übersicht über das, was zum Stichtag eingestellt wurde, und was weiterhin funktioniert:

❌ Eingestellt / betroffen ab 18. April 2025

Einstellung der Weiterentwicklung

• Microsoft hat offiziell angekündigt, dass WSUS nicht mehr aktiv weiterentwickelt wird.
• Das bedeutet:
  • Keine neuen Features.
  • Keine Verbesserungen in der Verwaltung oder Funktionalität.
  • Keine Unterstützung für neue Windows-Versionen nach Windows 11 24H2 oder Server 2025, sofern keine Kompatibilitäts-Updates mehr folgen.

Verwaltung neuer Update-Kanäle

• WSUS unterstützt nicht mehr alle neuen Update-Typen und Pakete, z. B.:
  • Neue Feature-Updates im „Unified Update Platform (UUP)“-Format werden nicht mehr automatisch unterstützt.
  • Updates für bestimmte Azure- oder Intune-gebundene Geräte können nicht mehr sauber synchronisiert werden.

✅ Was funktioniert weiterhin (Stand Juli 2025)

Bereitstellung klassischer Windows-Updates

• WSUS kann weiterhin verwendet werden, um klassische Sicherheits- und Qualitätsupdates für unterstützte Systeme bereitzustellen:
  • Windows 10 (bis inkl. 22H2)
  • Windows Server 2016, 2019, 2022 (solange sie Support erhalten)
  • Windows 11 23H2 und teilweise 24H2 (sofern Unterstützung nicht aufgehoben wurde)

Bestehende WSUS-Installationen

• Vorhandene WSUS-Instanzen funktionieren unverändert:
  • Updates werden weiterhin synchronisiert (sofern nicht vom Microsoft Update-Katalog entfernt).
  • Clients können sich weiter mit WSUS verbinden und Updates beziehen.
  • GPO-basierte Steuerung (z. B. Update-Zeitpläne, Genehmigungen) funktioniert weiterhin.

Support bis Oktober 2032

• WSUS kann laut Microsoft-Planungen bis einschließlich Oktober 2032 genutzt werden, sofern es mit unterstützten Windows-Versionen betrieben wird.

📝 Empfehlung für WSUS-Nutzer

Für Unternehmen, die WSUS On-Premises einsetzen, gilt:

• Der aktuelle Wartungsansatz (WSUS) funktioniert weiterhin.
• Aufgaben der Systemkoordinierenden (z. B. Update der Server) bleiben bestehen.
• Es ist ratsam, auf moderne Update-Management-Systeme (z. B. Intune, Endpoint Manager) umzusteigen – insbesondere im Rahmen einer Cloud-Migration (IaaS/SaaS).

Viele Unternehmen haben bereits heute #WSUS abgeschaltet/entfernt und lassen Updates direkt herunterladen. Die Installation auf den Endgeräten mit Windows 10 / 11 Pro/Enterprise erfolgt dann automatisch und die Benutzer werden zum Neustart aufgefordert.

Auf Servern erfolgt die Installation meist durch den Unternehmens-Administrator, gefolgt von einem manuellen Neustart der Server. Hiermit wird sichergestellt, dass die Neustarts im definierten Wartungsfenster (max. 10 Tage nach Patchday) liegen. Nach dem Neustart erfolgt eine kurze Funktionsprüfung der wichtigsten Funktionen. Im Bedarfsfall können so fehlerhafte Sicherheitsupdates zurückgezogen werden.

Wir empfehlen das Installieren der Updates am ersten Wochenende nach dem Patchday. Damit hat Microsoft 4 Tage Zeit, Patches, die fehlerhaft sind, wieder zurückzuziehen oder zu reparieren. Zusätzlich liegt man im von Versicherungen bewerteten Zeitfenster (nach mehr als 10 Tagen ohne Updates behalten sich Versicherungen vor, die Leistungen im Schadenfall rigoros zu kürzen).

Wer die Geräte verwalten möchte, dem empfehlen wir passende Intune Pläne. Bereits im Microsoft 365 Business Premium Plan sind wertvolle und nützliche Funktionen aus Intune nutzbar. Für die vollständige Verwaltung aller Geräte kann dann ein auf die vollständigen Intune-Pläne zurückgegriffen werden.

Windows Server 2025 wird Nachfolger

Nach Server 2022 kommt Server 2025. #Microsoft hat nun auch für Visual Studio Abonnenten die RTM-Version (als Release Preview) bereitgestellt.

Server 2025 wird dabei die gleichen Updates wie #Windows 11 24H2 bekommen. Der Server Build ist damit identisch wie bei der Windows 11 Version – nämlich 26100.xxx (xxx steht für das monatliche Sicherheitsupdate und das optional 2 Wochen später erscheinende Funktionsupdate.

Installiert man also aus der ISO 26100.1, erfolgt kurz darauf ein Update auf Version .560. Da ich in der virtuellen Maschine kein TPM aktiviert habe, funktioniert die Installation im Gegensatz von Windows 11 ohne Tricks. Die Voraussetzung, dass der Prozessor SSE 4.2 unterstützen muss und somit alte Core2Duo und Core2Quad Prozessoren nicht lauffähig sind, vermuten wir, können es aber weder dementieren, noch beweisen. Es wird aber wohl kaum jemand so alte Client-Hardware zum Betrieb von Servern einsetzen. Wie alt ein XEON-Prozessor in einem Server 2025 sein darf, ist noch herauszufinden. Da die meisten bei On-Prem-Einsatz ihre Windows Server (Std oder Datacenter) Lizenzen mit einem Server als OEM Version lizenzieren, dürfte auch das nicht relevant sein.

Wer ein VS Prem oder VS Professional Abonnement hat, kann die Server-Version schon in einer isolierten Umgebung testen (z. B. in einer Client Hyper-V Umgebung).

Zur automatisierten Installation (Unattended, deployment) dürfen folgende Schlüssel verwendet werden (für die Lizenzierung muss nachher ein gültiger Lizenz-Schlüssel eingegeben werden).

Windows Server 2025 Standard. TVRH6-WHNXV-R9WG3-9XRFY-MY832
Windows Server 2025 Datacenter. D764K-2NDRG-47T6Q-P8T8W-YP6DF

Windows-Updates für die Server 2025 Version wird es voraussichtlich bis September 2034 geben - Bisher waren Server immer LTSC mit 10 Jahren Laufzeit. Sofern Microsoft nicht auf den "Modern Life Cycle mit 5 Jahren" wie beim Office umstellt. bleibt das dabei.

Testbericht Server 2025 / 26100

Mit den o.g. Installationsschlüsseln lässt sich eine Unattend Vorlage bauen, so dass eine VM auf Knopfdruck innerhalb von 5 Minuten mit GUI installiert ist (und das nur im Client-Hyper-V unter Windows 10). Das ist gegenüber Server 2022 eine deutliche Beschleunigung.

Der Installationsprozess ist noch nicht modernisiert - man findet in der SETUP-GUI immer noch das Aussehen von Windows 7 :D .

Das Aussehen von Windows Server 2025 ist - Überraschung! - identisch mit Windows 11 (24H2). Kein Wunder, denn es ist ja dieselbe Code-Basis und derselbe Kernel. Wer also die RDS-Services aktiviert, bekommt auf den Terminalservern die GUI von Windows 11 präsentiert. Gruppenrichtlinien, die man von Windows 11 kennt, lassen sich auch anwenden.

Der Server-Manager und auch Active Directory Benutzer&Computer, sowie die anderen Verwaltungs-Tools sind unverändert verfügbar, es wird aber wieder Werbung für ADAC gemacht (Active Directory Admin Center). Außerdem ist wieder AzureArc - wie nach einem Windows Update von Server 2022 an Bord und fährt im Autostart mit hoch. Wer keine Server in Azure hat (Hybrid), sondern eine reine On-Prem-Umgebung, der kann im Task-Manager unter Autostart (ja, der Menüpunkt ist nun auch auf dem Server vorhanden) das Tray-Icon deaktivieren.

Wie die Hardware-Anforderungen sind, wird leider nicht klar ausgedrückt (siehe oben). Eins ist sicher: Auf meiner Test-VM habe ich in den Einstellungen NICHT den TPM des Hosts aktiviert. Die Installation der Gen2 VM läuft problemlos durch und Server 2025 startet auch danach fehlerfrei. Meine Vermutung ist aber, dass es neben der Windows 11 Prozessorliste (alles ab Core i der 8. Generation) auch eine Positivliste für XEON-Prozessoren gibt. Lediglich die IoT-LTSC Version von Server 2025 hat geringere Hardware-Anforderungen (sie hat aber auch keine grafische Benutzeroberfläche, wenn sie auf einer Smart-Fliese im Bad betrieben wird).

Exchange gefällig? – gefährlich?

Eine aktuelle Analyse im Internet zeigt: Von etwa 45.000 Microsoft-Exchange-Servern in Deutschland, die über das Internet via Outlook Web Access (OWA) erreichbar sind, gibt es leider immer noch viele veraltete und unsichere Versionen.

Das Bundesamt für Sicherheit in der Informationstechnik hat festgestellt, dass rund 12 % dieser Server noch mit #Exchange 2010 bzw. 2013 laufen, für die seit Oktober 2020 bzw. April 2023 keine Sicherheitsupdates mehr erhältlich sind. Außerdem sind ungefähr 28 % der Server mit den neueren Versionen Exchange 2016 oder 2019 nicht auf dem neuesten Stand und haben daher eine oder mehrere kritische Sicherheitslücken, die es einem Angreifer von außen ermöglichen, beliebige Programme auf dem angegriffenen System auszuführen (Remote Code Execution, RCE). #Wichtig - das entspricht rund 25 % aller Exchange-Server in Deutschland.

Wer Exchange Server 2010 oder 2013 einsetzt ODER Exchange Server 2016 oder 2019 nicht mit allen verfügbaren Patches einsetzt, ist entweder schon unter Kontrolle der kriminellen Banden, hat Datenabfluss und Kompromittierung nur noch nicht bemerkt oder hat ein kritisches Risiko, gehackt zu werden.

Auch wenn alle Patches auf einem Exchange Server 2019 installiert sind, bleibt das Betriebs-Risiko wegen Zero-day-Lücken immer bis zum nächsten Patchday kritisch (also bis zu einem Monat!)

Cyber-Versicherungen lassen sich entweder gar nicht erst abschließen oder verweigern die Leistung im Schadenfall. Insbesondere weil mit Rechtswirksamkeit von NIS2 auch viele KMU-Unternehmen in die KRITIS Klasse 2 fallen, ist zusätzlich mit hohen Geldbußen und Strafen zu rechnen.

BSI Veröffentlichungen

Was ist zu tun?

[faq openfirst=1]Sie haben Exchange Server 2010/2013 im Einsatz?|=|Migrieren Sie umgehend auf Exchange online.
||Sie haben Exchange Server 2016/2019 im Einsatz?|=|Installieren Sie alle verfügbaren Updates, Sicherheitspatches und CUs und migrieren Sie ebenfalls umgehend auf Exchange online.
||Sie haben schon Exchange online?|=|Microsoft kümmert sich beim Exchange online um die Updates und hat das primäre Betriebsrisiko und die Sicherstellung der Verfügbarkeit im Rahmen ihrer SLA vertraglich mit Ihnen geregelt.[/faq]

Windows Server LSASS-Memory-Leak geschlossen

#Erfreulich - mit dem #Patchday März 2024 schließt Microsoft eine kritische Sicherheitslücke in der Kerberos Authentifizierung von Domänen-Controllern. Leider hat man dabei einen Speicherfresser (Memory Leak) kodiert, der dazu führt, dass mancher (nicht alle) Domänencontroller 2016/2019 und 2022 nach einiger Zeit (zwischen 12 und 24 Stunden) so viel Speicher auf den Prozess LSASS.EXE alloziert, dass der DC entweder keine Aufgaben mehr wahrnimmt oder sogar eigenständig neu startet.

Update 23.3.2024: Microsoft hat ein Out-of-band Update für Windows Server 2022 (KB5037422), Windows Server 2016 (KB5037423) und Windows Server 2012 R2 (KB5037426) herausgegeben. Windows Server 2019 folgt noch in den nächsten Tagen. #Warnung - diesen Patch bitte zeitnah installieren auf betroffenen Servern.

Update 26.03.2024: Nun ist auch das Update für Windows Server 2019 erschienen. Die unterstützten Server sollten dann nach Installation und Neustart wieder frei vom Speicherloch sein und nicht mehr abstürzen.

Microsoft Knowledge Base

Einige Admins berichten, dass das Problem bei ihnen gar nicht auftritt, andere starten die DC zeitversetzt 1x pro Tag neu als Workaround. Da DCs in Azure aus Kostengründen meist noch andere Aufgaben (1 File, 1 Print/Apps) übernehmen, lässt sich ein Neustart nur außerhalb der normalen Arbeitszeiten realisieren.

Generell ist es aber keine gute Idee, das Update wegzulassen, da eine kritische Lücke mit einem Score von 9 von 10 geschlossen wurde.

Microsoft hat das Problem bestätigt und arbeitet an einem Hotfix, der kurzfristig ausgerollt werden soll. Aus Sicherheitsgründen kann man hier nur abwarten.

Übrigens: Ältere Server wie Server 2012 R2, die On-Premises keine Sicherheitsupdates bekommen, haben zwar nicht das Speicherproblem, aber dennoch die Sicherheitslücke. Werden sie in Azure betrieben, gibt es einen Patch, der auch für diese Server die Sicherheitslücke schließt und auch das Speicherproblem mit sich bringt. Wer noch Windows Server 2008 R2 einsetzt, hat ganz andere Sicherheitsprobleme, da es auch im ESU gegen Bezahlung keine Sicherheitsupdates mehr gibt.

Exchange Server unbedingt patchen

#Wichtig - die zuletzt für #Exchange Server 2016 und 2019 geschlossenen, kritischen #Sicherheitslücken aus CVE-2024-21410, mit denen Angreifer leichtes Spiel haben, Exchange Server unter ihre Kontrolle zu bringen und Schadsoftware einzuschleusen, werden derzeit aktiv ausgenutzt.

Sollten Sie noch Exchange Server 2016 oder 2019 im Einsatz haben, ist das Installieren der Patches überlebenswichtig, da es sonst nur eine Frage der Zeit ist, wann Ihr Server übernommen wird.

Mehr Details und welcher Patch für welche Exchange Version installiert sein muss, finden Sie im unten verknüpften Artikel.

Kunden mit Microsoft 365 / Exchange online sind wieder einmal nicht betroffen, da Microsoft dort die Sicherheitslücken selbst und vor Veröffentlichung geschlossen hat.

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21410

Windows Server 2012 R2 Supportende

Nur zur Erinnerung - #endoflife. Mit dem Patchday am 10. Oktober 2023 liefert Microsoft die letzten #Sicherheitsupdates für Windows Server 2012 R2 aus, die nicht in der Azure Cloud betrieben werden (also für alle Kauf-Versionen ungeachtet, ob Sie eine Software-Assurance mitgebucht haben oder nicht.

[time_until date="10.10.2023" calendar=1]

Der Betrieb von 2012 R2 Servern ist damit ein potenziell deutlich höheres Risiko, die Gefahr einer Infektion und Ausbreitung von Schadsoftware damit gegeben. Spätestens, wenn zum Patchday November 2023 für neuere Betriebssysteme Lücken geschlossen werden.

Modernisieren Sie vorhandene Server 2012 R2 auf neuere Server-Betriebssysteme (2016, 2019 oder 2022) oder bringen die Server in die Microsoft Azure IaaS Cloud, falls Sie Software weiterbetreiben müssen, die nur auf dieser 10 Jahre alten Plattform lauffähig ist. Für die Beurteilung Ihrer Cloudfähigkeit lassen Sie bitte einen Cloud Readiness Check durchführen.

veeam – Sicherheitslücke – V12 erforderlich

Eine Datensicherungssoftware muss immer den aktuellen Stand haben, denn bei einem Befall aufgrund einer Sicherheitslücke in der Software wären im schlimmsten Fall ein Datenverlust oder Datendiebstahl verbunden.

Bei veeam hat die Sicherheitslücke, vor der die CISA derzeit warnt, ein Ranking von 7.5 von 10 auf der Schadensskala. Problem ist der Prozess Veeam.Backup.Service.exe, der auf TCP-Port 9401 reagiert. Angreifer können verschlüsselte Anmeldeinformationen herausbekommen und Zugriffe auf Backup-Infrastruktur-Hosts stattfinden, schreiben die Entwickler von veeam.

Neu dabei ist, dass man nun auch Version 11 mit aktuellem Patchlevel auf Version 12 anheben muss. Erst mit Version Build 12.0.0.1420 P20230223 oder neuer ist diese Lücke sicher geschlossen.

#Wichtig - Bitte aktualisieren Sie Ihre veeam-Installationen auf die aktuelle 12er Version oder lassen sie aktualisieren.

https://www.veeam.com/kb4424

Update 07.11.2023: veeam Software schickt aktuell auch E-Mails, die auf die Sicherheitslücke hinweisen. Bitte klicken Sie nicht auf Links in der E-Mail, sondern melden sich durch Eingabe der URL auf https://veeam.com mit Ihrem veeam-Konto an und laden den Patch. Da bei der Installation einiges beachtet werden muss, empfehlen wir, die Installation als Vorgang/Ticket bei uns in Auftrag zu geben.

veeam.com - Meldung zur Sicherheitslücke

Kerberos-Protokolländerungen ab Juli 23

Bereits im November 2022 lieferte Microsoft Mechanismen aus, die die Kerberos-Anmeldung sicherer machen können. Es geht dabei um das Anmeldeverfahren, wie sich Drittgeräte und andere Windows Server an einem AD-Domänencontroller anmelden.

Auch dieser Sicherheitspatch war zunächst nur ausgerollt worden, um Administratoren Zeit zu geben, die Sicherheit dieser Anmeldungen zu erhöhen bzw. auf Drittgeräten aktuelle Firmware/Softwareupdates zu machen.

Bereits am 13. Juni 23 mit dem Juni-Patchday hat Microsoft die Kerberos Einstellung auf "Überwachungsmodus" gesetzt. Die Verbindung ist damit weiterhin möglich, Fehler werden im Ereignisprotokoll aufgezeichnet.

Am 11. Juli 2023 setzt Microsoft die Kerberos-Einstellung mit dem monatlichen Update auf "Erzwingen". Das bedeutet, das Systeme mit unsicheren Kerberos-Schlüsseln sich nicht mehr anmelden können.

[time_until date=11.07.2023]

Handlungsempfehlung

#Wichtig - Wie im Microsoft Artikel ausführlich beschrieben, betrifft das Update Windows Server 2022 Windows Server 2019, all editions Windows Server 2016, all editions.

Wenn Sie auf Ihren Domänencontrollern Fehler mit der Ereignis-ID 42 finden, oder Geräte erkennen, die keinen gemeinsamen Kerberos-Verschlüsselungstyp aufweisen, indem Sie das Ereignisprotokoll für Microsoft-Windows-Kerberos-Key-Distribution-Center Event 27 anzeigen, lesen Sie bitte: KB5021131: Verwalten der Kerberos-Protokolländerungen im Zusammenhang mit CVE-2022-37966

Nach der Installation des Juni 2023-Updates (auf allen Servern) das Ereignisprotokoll an Ihren Domänencontrollern sichten und nach Fehlern mit der Ereignis-ID 42 suchen und wie im folgenden Artikel beschreiben verfahren (An Ende des Artikels ist eine FAQ):

Microsoft Artikel mit Handlungsanweisungen

Microsoft macht alten Exchange die Tür zu

Wie aktuelle Statistiken beweisen, sind noch zigtausende alte #Exchange Server im Internet erreichbar und versenden (da solche Server meist schon – auch ohne das der Betreiber es merkt – unter der Kontrolle Krimineller sind) E-Mails und Spams.

Da nur noch Exchange Server mit Version 2016 und 2019 #Sicherheitsupdates bekommen, stellen die alten Versionen 2007, 2010 und 2013 ein hohes Risiko dar. Microsoft hat daher beschlossen, auf seinen Onlinediensten (Exchange Online/Microsoft 365) den Empfang von Mailservern der unsicheren Art zu verhindern, indem dort der absendende Server aus den E-Mail-Kopfzeilen ausgelesen wird und bei feststellen von einem Exchange 2007/10/13 die E-Mail abgewiesen (gebounct) wird.

Die Block-Regel für Exchange Server 2007 wird kurzfristig aktiviert, 2010 und 2013 sollen dann sukzessive folgen.

#Wichtig - wer noch einen Exchange Server 2007, 2010 oder 2013 betreibt, sollte umgehend handeln (Version 2019 lizensieren (Ende der Sicherheitsupdates ist bereits am 14.Okt 2025 und einen Nachfolger kann man nur noch mieten!) oder besser: auf Exchange online umstellen) oder damit rechnen, dass er viele seiner Kunden und Lieferanten (alle Empfänger, die bereits Microsoft Online-Diente nutzen) nicht mehr erreichen können wird.

Quelle: Microsoft Artikel – https://aka.ms/BlockUnsafeExchange

veeam neue kritische Sicherheitslücken

Werden diese #Sicherheitslücken (CVE-2023-27532 „hoch“) ausgenutzt, können Angreifende Kontrolle über den Backup-Server erlangen. Veeam Software hat Anfang März 2023 Sicherheitsupdates zur Verfügung gestellt, mit denen die Lücken geschlossen werden können.

#Wichtig – Wie aus dem Security-Bulletin des Herstellers hervorgeht, müssen alle veeam-Versionen (9,10 und auch Version 11) auf Version 12.0 aktualisieren.

Hierzu ist ein aktiver Wartungsvertrag erforderlich (Anmerkung: Eine Backup-Software ohne Wartung bzw. mit Sicherheitslücken zu betreiben, führt bei vielen Versicherungen zur Kürzung von Leistungen im Schadenfall. Vielfach ist die Datensicherung auch der einzige Rettungsanker, wenn ein Verschlüsselungstrojaner gewütet hat). Die Vertrags-Rest-Laufzeit wird im Startbild von veeam oder im „Info über“ Dialog unter "Support expiration date" im Hamburger-Menü angezeigt. Ist der Support nicht "expired", dürfen Sie upgraden. Zum Herunterladen der aktuellen Patches melden Sie sich mit Ihrem veeam Konto auf veeam.com an, laden das Update herunter und installieren es. Dabei müssen auch die Agents auf den physikalischen Maschinen aktualisiert werden. Nach einem Neustart des Backup-Servers ist die Sicherheitslücke geschlossen und Sie haben die aktuelle 12er Version von veeam im Einsatz.

auch veeam Version 11.01 Versionen müssen aktualisiert werden

Sie wissen nicht, wie Sie das Update ausführen? Erstellen Sie bitte einen technischen Support-Vorgang im Extranet der GWS.

veeam Knowledgebase

vmware aktuell halten

Angesichts der aktuellen Angriffs-Serie fokussieren sich Cyberkriminelle auf ungepatchte Browseroberflächen in der VCenter Oberfläche von vmware-Versionen, die Weboberfläche von ESX(i)-Server und auch den vmware Workstation Hypervisor.

Dabei reicht es aus, dass das Unheil stiftende Programm im Netzwerksegment ausgeführt wird, wo die Server stehen. Schadprogramme laufen im Benutzerkontext und werden vorzugsweise durch Klicks von Benutzern gestartet.

Das besondere daran ist, dass die Sicherheitslücken bereits 2021 geschlossen wurden. Offensichtlich gibt es viele Kunden, die entweder keinen Wartungsvertrag mehr mit vmware haben (damit keinen Zugriff auf die Patches) oder/und ihre Systeme nicht aktuell sind.

#Wichtig - Wir raten allen Systemkoordinierenden, ihre VMware Installationen auf aktuellem Stand zu halten.

Bezogenes CVE Security Bulletin: CVE-2021-21974

Exchange Server weiterhin großes Risiko

Obwohl seit #Hafnium bekannt ist, dass der Betrieb von #Exchange 2019, 2016 und 2013 oder älteren Servern mit der höchsten Risiko-Klasse verbunden ist, hat eine Studie von Januar 2023 herausgefunden, dass über 60.000 Server weltweit entweder ungepatcht oder eine alte Version wie 2013 oder älter haben. #Wichtig - Große Teile dürften damit bereits unter Kontrolle von Kriminellen sein und zum Identitätsdiebstahl genutzt werden.

Das Schlimme - im Strafrechtlichen Bereich sind Sie als Betreiber oder Lizenznehmer betroffen und müssen im Schlimmsten Fall hohe Bußgelder zahlen oder mit empfindlichen Strafen rechnen. Zudem reduzieren oder verweigern Cyber-Versicherungen die Zahlung mit Berufung auf Vorsätzlichkeit.

https://techcommunity.microsoft.com/t5/exchange-team-blog/protect-your-exchange-servers/ba-p/3726001

Artikel im Techblog von Microsoft, wo nochmal eindringlich auf den aktuellen Patchstand hingewiesen wird.

Sicher ist nur, wer Exchange online gemietet hat, denn für diesen Online-Dienst trägt Microsoft die Verantwortung für die Aktualisierung und das schnelle Schließen von Sicherheitslücken. Das Ganze in Verbindung mit dem Microsoft 365 Business Premium Plan, der gesetzlich vorgeschriebene Dinge wie ein Mailarchiv, den Business Virenschutz und in Verbindung mit dem Exchange Security Paket auch Mail und Spamschutz enthält.

Ende der Sicherheitsupdates Server 2012 R2

Der 10. Oktober 2023 ist der letzte "Patchday", an dem Microsoft #Sicherheitsupdates #endoflife für sein Server-Betriebssystem "Windows Server 2012 R2" ausrollt. Danach ist mit mehr oder weniger kritischen Sicherheitslücken zu rechnen, die nicht mehr geschlossen werden. Diese Server sind dann - nicht nur als Terminalserver - angreifbar und werden von Kriminellen genutzt werden, um Schadsoftware zu installieren und Daten- und Identitätsdiebstahl zu betreiben.

[time_until date="10.10.2023"]

Bin ich betroffen?

Server 2012 R2 sind in der Regel erkennbar an der türkisfarbenen Taskleiste mit Startknopf links und dem bildschirmfüllenden Startmenü, das auch unten links den Startknopf hat:

Um herauszufinden, ob Sie noch Server 2012 im Einsatz haben und wie viele mit welcher Software, empfehlen wir unsere IT-Dokumentation. Diese liefert Ihnen nicht nur die 2012er Server, sondern auch ein komplettes Software und Hardware-Inventar und einer IST-Aufnahme nach BSI-Standard 200-1.

Soll die IT-Dokumentation für die Verbandsprüfung oder zur Dokumentation für Versicherungen genutzt werden, empfiehlt sich der IT-Sicherheitscheck, der Ihnen ein Testat nach dem BSI-Standard 200-1 und IDW PS330 liefert. Er wird durch einen TÜV-zertifizierten IT-Security Manager und -Auditor ausgeführt.

Kontaktieren Sie mich gern bei Fragen oder zur Beauftragung über das Kontaktformular des Syskoportals.

Was kann ich tun?

• Neuinstallation der Programme auf Server 2019 bzw. 2022 und Umzug der Daten und Programme sind empfehlenswert. Server 2016 ist auch möglich, die Sicherheitsupdates enden hier aber bereits im September 2025 - also nur zwei Jahre später.
• Bei Verwendung der Server On-Premises müssen dazu meist neue CALS und teure Server-Betriebssystem-Lizenzen (meistens in der Datacenter-Edition) angeschafft werden. Nur wenn Sie Ihre VM-Hosts bereits mit einer Server 2019 oder neuer Lizenz angeschafft haben, ist die Migration auf eines der Betriebssysteme ohne weitere Lizenzkosten. Das gilt auch nur dann, wenn die Windows Server CALS ebenfalls auf eins der neueren Betriebssysteme lauten. Zusätzlich müssen bei Terminalservern die RDS-CALs zum neuen Betriebssystem passen - ansonsten neu angeschafft werden.
• Wenn Sie die betroffenen bereits in Microsoft Azure (IaaS) betreiben, können Sie auf den Server 2012 Betriebssystemen noch weiter drei Jahre Updates installieren, da im Rahmen der Cloud-Miete die sonst kostenpflichtigen ESU Updates bezogen werden können. Eine Modernisierung ist dennoch empfehlenswert, um die Update-Handlungen zu vereinheitlichen. Zumal nur Dienstleistungs- und keine Lizenzkosten dafür anfallen.

Ich habe meine Server On-Premises - wie komme ich in die Cloud?

Beauftragen Sie den Cloud Readiness Check und wir prüfen, welche Schritte notwendig und angezeigt sind, um hochpreisige Hardware-Neuanschaffungen und immer kürzeren Software-Updates Zyklen zu begegnen.

Ihr Ansprechpartner ist Andreas Lübke. Gern können Sie sich auch an die Kontaktpersonen in Ihrer Business Unit wenden.

FAQ

[faq]Woran erkenne ich Server 2012 R2|=|An der türkisfarbenen Taskleiste mit Startknopf links oder nach Eingabe von Winver - oder Sie beauftragen eine IT-Dokumentation oder den IT-Sicherheitcheck||
Sind Server in Azure betroffen|=|Nein, da für die die ESU-Updates gelten. Trotzdem ist eine Migration auf Server 2019 (mindestens 2016) empfohlen||
Kann ich meine Server in die Cloud migrieren|=|Der obligatorische Cloud-Readiness Check beantwortet alle Erfordernisse||
Kann ich ESU einzeln kaufen bei Microsoft?|=|Nein, ESU steht nur Enterprise-Kunden und Cloud-Kunden von Microsoft zur Verfügung. Für die Verwendung On-Premises ruft Microsoft sehr hohe monatliche Gebühren pro Server bzw. Endgerät auf.||
Sind Windows Endgeräte auch betroffen?|=|Sofern Sie noch Rechner mit Windows 8.1 (Pro) im Einsatz haben, sind bereits jetzt einige Softwareprodukte nicht mehr darauf lauffähig. Ein Upgrade auf Windows 10 Pro (ja, wir raten weiterhin von Windows 11 Pro ab!) ist empfehlenswert. Da solche Rechner meist 8-10 Jahre alt sind, am besten kombiniert mit Austausch der Hardware[/faq]

Alte Windows-Server nicht mehr erreichbar

Mit dem Juni 2022 kumulativen Update für alle derzeit unterstützten Windows Server ab Version 2012 R2 aktiviert Microsoft DCOM Server-Sicherheitsfeatures, die die Kommunikation mit Servern, die am Ende der Laufzeit (EOL) für Sicherheitsupdates sind oder ein bereits im Juni 2021! veröffentlichtes Update NICHT installiert haben.

Betroffene Server können beispielsweise von der Datensicherungssoftware nicht mehr erreicht werden, sind also nicht mehr gesichert. Auch Monitoring-Programme können diese Server nicht mehr überwachen. Mehrere andere Programme können die Server nicht mehr erreichen, weil nur eine gesicherte DCOM Kommunikation erlaubt ist.

Workaround währt nicht lange

Derzeit kann man über eine Gruppenrichtlinie für die Server ab 2012 R2 die Kommunikation zwar wieder einschalten, mit dem Patchday im März 2023 wird aber auch dieser Schalter abgestellt. Wie der Workaround funktioniert, ist im verknüpften Microsoft Artikel beschrieben

Nachhaltige Lösung

Wer noch Windows Server 2008 R2 einsetzt, sollte sich Gedanken über die darauf installierte Software machen und diese Produkte ablösen. Auch die Laufzeit von 2008 R2 in der Azure Cloud (und im ESU-Modell) ist mit Ende 2023 fest.

Zum Modernisieren können Server in Microsoft Azure als Mietmodell eingesetzt werden oder neue Hardware mit OEM-Betriebssystem-Lizenzen beschafft werden. In jedem Fall sollten Sie sich kurzfristig von nicht mehr unterstützten Servern trennen und mittelfristig auch von Server 2012 R2 Instanzen. Im letzteren Fall ist die Azure Cloud eine Möglichkeit, zumindest Server 2012 R2 länger als bis September 2023 einzusetzen, falls unbedingt notwendig.

Fazit

• Schaffen Sie Windows Server 2008 R2 Systeme ab und modernisieren diese durch Neuinstallation in Azure oder Neubeschaffung On-Premises.
• Sorgen Sie bei allen Servern ab 2012 R2 für monatlich aktuelle Updates. Versicherungen kürzen die Leistung im Schadenfall, wenn die Patches nicht monatsaktuell (mit Toleranzzeit von einer Woche) installiert sind.
• Übergangsweise können Sie auf den Servern den Registry-Schlüssel setzen. Das verschafft Ihnen Zeit, zu modernisieren

Microsoft-Artikel KB5004442 zu den Sicherheitsänderungen

https://support.microsoft.com/de-de/topic/kb5004442-verwalten-von-%C3%A4nderungen-f%C3%BCr-die-umgehung-von-windows-dcom-server-sicherheitsfeatures-cve-2021-26414-f1400b52-c141-43d2-941e-37ed901c769c

Exchange online: Basic Auth wird eingestellt

Ab 01. Oktober 2022 beginnt Microsoft damit, die sogenannte Basic Authentication - Authentifizierung an #Exchange online abzuschalten. Damit ist der Zugang zu dem Online-Dienst mit alten, nicht mehr unterstützten Outlook Programmen nicht mehr möglich. Neuere Outlook Versionen bzw. Outlook aus dem #Microsoft365 Plan sollten durch den Administrator umgestellt werden, dass sie nur noch das neue Verfahren zulassen (Gruppenrichtlinie).

Im Zuge der Analyse stellen wir immer wieder fest, dass mit zu trivialen und nicht geheimen Kennwörtern der Zugang zu den Mailboxen ermöglicht wird. Ist Ihr Unternehmen (aka. Microsoft Tenant) mit Microsoft 365 Business Premium oder E3-Plänen ausgestattet und Ihr Exchange online verfügt über das Sicherheitspaket, können Sie die sogenannte Zweifaktor-Authentifizierung (2FA) einrichten (lassen) und für mobile Mitarbeitende zur Pflicht machen. Auf dem Smartphone des Mitarbeitenden ist dann die Microsoft Authenticator-App installiert, die eine sichere Anmeldung am Microsoft Arbeitskonto ermöglicht. Für administrative Accounts sehe ich die Nutzung von 2FA als unbedingt notwendig, für die Benutzer ist sie zumutbar und bringt ein deutlich höheres Level an Sicherheit.

Zusätzlich sollte (obwohl keine regelmäßige Änderung von Kennworten vorgeschrieben noch sinnvoll ist), EINMAL eine Grundsicherheit der Kennwörter hergestellt werden, um Datenverlust, Hackbarkeit, Verstöße gegen die DSGVO und sogar strafrechtliche Konsequenzen zu vermeiden.

Microsoft wird die Basic Authentication mit einem Sicherheitsupdate auch für die On-Premises Exchange Server entfernen. Wenn Sie den Exchange-Server noch im Hause betreiben, ist der Umstieg in die Online-Variante bereits jetzt umso sinnvoller.

Artikel zur Abkündigung der Basic Authentication (englisch)

Microsoft

Reboot Januar-Fehler gepatcht

Mit dem #Januar-Patch hatte Microsoft #Reboot Schleifen in die Domänencontroller ab Server 2012 R2 eingebaut und auch L2TP-VPNs (die sehr selten sind) ließen sich nicht mehr aufbauen. Nun gibt es Patches für die Patches, die ab sofort im Windows Update Katalog installiert werden können:

• KB5010796: Windows Server 2022
• KB5010793: Windows 10 Version 20H2 bis 21H2
• KB5010794: Windows 8.1, Windows Server 2012 R2

Die Patches liegen damit im Rahmen der Karenzzeit zum Installieren nach BSI-Grundschutz und sollten umgehend angewendet werden.

Reboot tut nicht gut – Januar-Fehler

Mit dem Patchday von Januar hat Microsoft einige Sicherheitslücken zu gut geschlossen – das Installieren des kumulativen Patches für bei allen Server-Betriebssystemen (2012 R2 bis 2022) zu erneuten Problemen.

Diesmal starten Domänen-Controller in einer Endlosschleife neu, sobald sich jemand anmeldet. Hyper-V-Hosts mögen nach dem Update in einigen Fallen gar nicht mehr starten.

Bei Windows (8.1 – 11) Clients wird, wenn man ein L2TP-VPN einsetzt (kommt eher selten vor) die Verbindung auch nicht aufbaubar sein.

Microsoft hat gestern den Patch zurückgerufen. Wer ihn aber schon auf den genannten Funktionstypen installiert hat, wird einigen Aufwand haben, ihn wieder los zu werden. (WU-Dienst stoppen, Softwaredistribution Ordner leeren, deinstallieren, Reboot). Auch wenn zu erwarten ist, dass Microsoft kurzfristig einen Patch zum Patch herausbringen wird, raten wir, den installieren Knopf auf Domänen-Controllern und HV-Hosts NICHT zu drücken.

Die Karenzzeit, in der Updates eingespielt werden müssen (Richtwert für Versicherungen) liegt bei Patchday + 7 Tage. Dadurch, dass Microsoft in diesem Fall das Update komplett zurückgezogen hat, gehen wir davon aus, dass die Zeitrechnung, bis wann das installiert werden muss, mit dem erneuten Rollout des Patch vom Patch beginnen wird.

Fazit: Die Januar-Patches auf Domänen-Controllern und Hyper-V-Hosts solange nicht installieren, bis Microsoft einen Fix ausliefert.

Exchange (On-Prem) 2022 Fehler

Weil die #Exchange Server 2013/16/19-Versionen einen Fehler haben, der verhindert dass ab 1.1.2022 E-Mails versendet werden, hat Microsoft einen Notfall-Patch in Form einer Anleitung, was zu tun ist, um den Fehler zu beheben.

Beim Exchange 365 (online) tritt dieser Fehler nicht auf. Wer also noch einen Exchange Server 20xx im eigenen Hause oder bei einem Dienstleister betreibt, muss handeln, um wieder E-Mails zu versenden/empfangen zu können.

Microsoft Anleitung und Script, um den Fehler zu beheben

https://techcommunity.microsoft.com/t5/exchange-team-blog/email-stuck-in-exchange-on-premises-transport-queues/ba-p/3049447

Windows Server 2022 veröffentlicht

#Microsoft gab heute den Supportbeginn für Windows #Server 2022 LTSC bekannt. Damit bekommt sollte man, wenn man einen Server kauft, vom Hersteller auch eine passende OEM-Lizenz bekommen (Standard enthält auch hierbei Lizenzen für die Windows Betriebssysteme von 2 virtuellen Maschinen, Datacenter für beliebige viele VMs, die auf dem Host laufen.

Server 2022 ist besser in die Azure Cloud integriert, so dass beispielsweise Hybrid-Szenarien (einige Server lokal, der Rest in der Cloud) vereinfacht wurden.

Zudem setzt die Server GUI etwa auf dem Stand auf, wie Windows 10 Version 21H2. Es steht aber ein neuerer Kernel-Build zur Verfügung (20348). Das für Windows 10 geplante, aber wegen Windows 11 nie veröffentlichte Ferrum Release trägt beim Server noch diesen Namen.

Wenn Volumenlizenzen mit einer Software-Assurance vorliegen, ist ein Inplace Upgrade technisch möglich. Bei dem OEM-Versionen nur dann, wenn man innerhalb von 90 Tage nach Kauf eine SA dazugebucht hat, die aktiv bleiben muss für das Upgrade.

Es ist zu erwarten, dass Microsoft die Installations-Images auch für das Deployment von Servern in Microsoft Azure bereitstellt. Somit können Admins entscheiden, ob Sie in Azure einen neuen Server 2019 oder einen Server 2022 aufsetzen (im IaaS-Betrieb).

Fakten-Überblick:

LTSC-Version (Long Term Service Channel), Sicherheitsupdates 1x pro Monat, Start-build: 20348.169 (ferrum Release). Neue Funktionen, GUI aktualisiert, entspricht etwa Windows 10 21H2. Lizenzmodell wird beibehalten (OEM oder Volumenlizenzen, alles aber nur als LTSC Versionen), Supportzeit auf 5 Jahre verkürzt, Sicherheitsupdates nach wie vor 10 Jahre). Supportende ist: 13.10.2026, Updates bis 14.10.2031

Windows Druckserver Exploit - Print Nightmare (gefixt)

Updates verfügbar: 07.07.2021

Microsoft hat außerplanmäßig das Update KB5004945 und andere Updates bereitgestellt. Stand 8.7. auch für Server 2016 und alte Windows 10 Versionen. Diese schließen die #Print-Nightmare Lücke. Die Updates werden allerdings nur für alle Produkte, die noch nicht "end of life" sind, unterstützt (auch wenn in der Liste Fixes für ältere Betriebssysteme gelistet werden). Windows 7 PCs und Server 2008 R2 bleiben damit grundsätzlich ungeschützt, es sei denn man hat das ESU (extended Support Abo) gebucht. Auf diesen Systemen sollte kein Druckdienst gestartet sein. Wer Sitzungsdrucker unter RDP oder Citrix über den Windows Druckserver auf Server 2008 R2 Basis betreibt, sollte jetzt erst recht über eine Cloud Migration (bei IaaS Installation auf Azure 2019 Servern) nachdenken. Denn dort werden in der Regel nur Betriebssysteme eingesetzt, die aktuell bzw im erweiterten Support sind.

Zusätzlich wichtig (weil sich die Lücke sonst trotz Patches ausnutzen lässt):

In der Registry unter HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Printers\PointAndPrint sicherstellen, dass die folgenden Einträge nicht vorhanden – standardmäßig der Fall - beziehungsweise deaktiviert sind:

• NoWarningNoElevationOnInstall = 0 (DWORD) oder nicht vorhanden
• UpdatePromptSettings = 0 (DWORD) oder nicht vorhanden

In allen #Windows Betriebssystemen (für Clients und Server) steckt eine neue #Sicherheitslücke, die bisher noch nicht geschlossen wurde. Betroffen sind alle Server und auch PCs und Notebooks, wo der Dienst "Druckwarteschlange" gestartet ist. Damit kann ein Angreifer ohne Adminrechte schadhafte Bibliotheken und Schadcode in das System schleusen (und ausführen). Microsoft stuft die Lücke als kritisch ein und empfiehlt den Druckspooler (Druckwarteschlange) Dienst zu deaktivieren - was nicht zielführend ist. Schließlich kann dann nicht mehr über den Server gedruckt werden.
Update: Mittlerweile hat Microsoft die Lücke als kritisch auf einer Skala von 1 bis 10 mit 8.1 eingestuft. Mit einem offiziellen Patch ist nicht vor nächstem Dienstag, dem Juli-Patchday 2021 zu rechnen.

Möglicher Workaround (Sysko in Eigenverantwortung)

Es gibt aber auch einen Workaround, der den Zugriff auf den Druckserver sperrt. Damit soll weiterhin gedruckt werden können. Möchte man eine Konfigurations-Änderung am Druckserver vornehmen (also zum Beispiel einen neuen Drucker installieren oder eine Einstellung ändern), muss man die Änderung wieder zurücknehmen. Das Ganze gilt, solange bis Microsoft einen Notfall Patch liefert.

Die benötigten (administrativen) Powershell-Skripte hier (Benutzung auf eigenes Risiko, Nebenwirkungen sind nicht ausgeschlossen)

$Path = "C:\Windows\System32\spool\drivers"

$Acl = (Get-Item $Path).GetAccessControl('Access')

$Ar = New-Object  System.Security.AccessControl.FileSystemAccessRule("System", "Modify", "ContainerInherit, ObjectInherit", "None", "Deny")

$Acl.AddAccessRule($Ar)

Set-Acl $Path $Acl

und zum Deaktivieren der Sperre:

$Path = "C:\Windows\System32\spool\drivers"

$Acl = (Get-Item $Path).GetAccessControl('Access')

$Ar = New-Object System.Security.AccessControl.FileSystemAccessRule("System", "Modify", "ContainerInherit, ObjectInherit", "None", "Deny")

$Acl.RemoveAccessRule($Ar)

Set-Acl $Path $Acl

Fix for PrintNightmare CVE-2021-34527 exploit to keep your Print Servers running while a patch is not available

Fabio Viggiani, Blog-Artikel

Funktionsweise eines Angriffs

Im Prinzip stehen einem Angreifer an jedem Gerät Angriffspunkte zur Verfügung, wo der Druckerwarteschlangen Dienst läuft. Das ist ab Werk auf allen Windows Clients - unabhängig von der Version der Fall und auf Druckservern. Wie ein Angreifer diese Geräte erreicht, steht auf einem anderen Blatt – meistens indem er Benutzer in Mails oder Webseiten auffordert, auf irgendwas zu klicken. Das angeklickte Schadprogramm wird dann im Benutzerkontext ausgeführt und greift als erstes alle Systeme an, wo der Druckdienst läuft. Hier werden dann Schadprogramme injiziert und verschlüsseln zB alle Daten.

Bis zum Patchday bzw. bis ein Fix zur Verfügung steht, ist es also eine Risikoabwägung, ob man den Workaround nutzt und nachher wieder deaktiviert (auch hier können Nebenwirkungen entstehen) oder das Risiko eingeht, dass etwas eingeschleust wird.

Support: Nein

Dieser Artikel soll Sie über diese kritische Sicherheitslücke informieren. Bitte haben Sie dafür Verständnis, dass wir den Workaround nicht in Ihrem Auftrag auf all Ihren Systemen für Sie ausführen werden. Erfahrene Systemkoordinatoren müssen selbst abschätzen, inwieweit die Möglichkeit für sie Sinn macht und können dann eigenverantwortlich tätig werden.

Warum Exchange Server nicht mehr zeitgemäß sind

Bereits im März und im April wurden in den #Exchange Server Produkten kritische #Sicherheitslücken geschlossen. Die als #Hafnium betitelten Angriffe auf Server weltweit machten Schlagzeilen und sorgten für zahlreiche Schäden und Ausfälle.

Exchange 201x versus Exchange online

Bei Einsatz und Betrieb eines Exchange Servers im eigenen Hause ist der IT-Administrator für das manuelle Installieren der Sicherheitsupdates auf den Servern verantwortlich. Im Gegensatz zu den halbautomatisch (nur installieren und neu starten) durchführbaren Windows Updates erfordert die Installation von Exchange Patches größere Wartungsfenster und sie müssen komplett von Hand heruntergeladen und installiert werden. Vielfach sind mehrere Updates und Neustarts des Exchange Servers erforderlich.

Mit dem Online Dienst „Exchange online“ kümmert sich Microsoft um alle Updates der Plattform. Die Erfahrung hat gezeigt, dass erkannte Sicherheitslücken dort 2-3 Wochen eher geschlossen sind, bevor sie in den Medien publik werden.

Mit Skykick Backup lassen sich auch Langzeit-Sicherungs- und Aufbewahrungs-Szenarien abbilden, so dass auch die Datenmengen in der Bandsicherung von veeam signifikant reduziert werden und die Nachtsicherung schneller fertig ist.

Kritische Sicherheitslücken auch im Mai 2021 geschlossen

Am Dienstag (gestern) um 1900 Uhr war wieder Patchday. Wieder wurden kritische Lücken geschlossen. Wie auch im April gab es KEINE Updates mehr für den Exchange Server 2010. Wer ein solch altes Produkt noch im Einsatz hat, handelt vorsätzlich und Versicherungen kürzen die Leistungen im Schadenfall rigoros.

Die aktuellen Mai-Updates setzen wieder voraus, dass der Exchange Server den Update-Stand von April bereits hat, ansonsten müssen auch die Updates von April zuvor installiert werden. Das sind:

Exchange Server 2013 CU23
Exchange Server 2016 CU19 and CU20
Exchange Server 2019 CU8 and CU9

Quelle: Microsoft Security Blog

Fazit

Das Risiko, Opfer eines Angriffs mit einem Exchange Server im Hause zu werden ist, mit allen Konsequenzen auch im Datenschutz- und strafrechtlichen Bereichs kritisch. Unternehmen sollten umgehend auf Exchange online in Verbindung mit Skykick Langzeitsicherung umstellen. Auch im Mai gilt wieder: Alle Exchange online Kunden sind nicht betroffen. Stellen Sie auf Exchange online um, um die Sicherheit zu erhöhen.

Exchange DSGVO Meldung?

Am 04. März berichteten wir über die von #Microsoft am 03. März für alle #Exchange Server geschlossene, kritische #Hafnium #Sicherheitslücke. Die Lücke ist sehr gefährlich und wird weltweit massenhaft von Hackern ausgenutzt. Wir hatten darüber auch in einem Sondernewsletter zeitnah informiert.

Betroffen sind alle Betreiber von Exchange Servern im eigenen Hause und Kunden, die Ihren Mailserver in einem Rechenzentrum untergestellt haben (Housing). Leider haben immer noch viele Administratoren nicht reagiert und es gibt weiterhin ungepatchte Server. Nur Kunden mit Exchange online sind nicht betroffen.

Q: Wie finde ich heraus, ob ich schon Exchange online habe?
A: Rufen Sie unten stehende Seite auf und geben Ihren E-Mail-Domainnamen ein. Kommt als Antwort beim Domainnamen mail.protection.outlook.com oder bei der IP-Adresse Microsoft Corporation vor, nutzen Sie den Microsoft Online-Dienst Exchange online. Zusätzlich müssen Sie noch herausfinden, dass bei Ihren Servern im Hause kein Exchange Server in Betrieb ist (möglicher Hybridbetrieb).

https://mxtoolbox.com/SuperTool.aspx

Nun schalten sich die Datenschutzbehörden ein. Nach der Datenschutz-Grundverordnung besteht in vielen Fällen eine Meldepflicht gemäß Art. 33 #DSGVO. Die für den Verzicht auf die Meldung maßgeblichen Feststellungen, d. h. insbesondere die kompletten Untersuchungen des Mail-Servers und seiner Verbindungen ins übrige Netzwerk des Unternehmens sind umfassend zu dokumentieren.

In der Praxis bedeutet das im Falle Exchange Server 2010/2013/2016/2019:

• Wenn festgestellt wurde, dass eine Kompromittierung und Zugriffe auf die Mailboxen erfolgt ist
• oder wenn die notwendigen Patches nach dem 09. März 2021 installiert wurden
• und wenn nicht dokumentiert werden kann, dass kein erfolgreicher Zugriff erfolgt ist

besteht Meldepflicht und Unternehmen müssen sich quasi selbst anzeigen.

Erste Indizien und Unterstützung zur Dokumentation liefert dieses Microsoft Powershell Script in diesem Zusammenhang. Zusätzlich muss das Microsoft Support Emergency Response Tool heruntergeladen, installiert und ausgeführt werden. Ein aktueller Kaspersky Virenscanner meldet auch einen stattgefundenen Befall. Ob die Werkzeuge ausreichen, um hinreichend gegenüber den Datenschutz-Behörden zu dokumentieren, lässt sich nur von Juristen und Datenschutzbeauftragten beantworten.

Für weitere Details zu den Datenschutz-Themen wenden Sie sich bitte an Ihren verantwortlichen Datenschutz-Beauftragten.

Exchange-Lücke: 40.000 Server ungepatcht

Bereits im Februar 2020 hat Microsoft eine kritische #Sicherheitslücke im #Exchange Server geschlossen. Sie ermöglicht es Angreifern, das System über das Internet (per Web App bzw. die Push-E-Mail-Schnittstelle) komplett zu übernehmen. Die Lücke betrifft alle Exchange Server ab 2003. Patches stehen jedoch nur für die noch unterstützten Exchange Versionen: 2013, 2016 und 2019 zur Verfügung. Außerhalb der Reihe auch noch ein Notfallpatch für Exchange 2010 (hier war der offizielle Support bereits im Februar 2020 beendet).

Weil die Sicherheitsforscher immer 90 Tage nach einem Patch die Funktionsweise von Sicherheitslücken veröffentlichen, besteht ein hohes Risiko. Internet-Analysen haben bestätigt, dass (Stand gestern) über 40.000 Server weltweit nicht gepatcht sind.

Handlungsbedarf

Im Dokument zur CVE-2020-0688 ist beschrieben, was zu tun ist. Wer noch Exchange 2010 im Einsatz hat, sollte sich zusätzlich zeitnah überlegen, nach Exchange online zu migrieren (Listenpreis pro User/Postfach/Monat rund 4,20 €). Die Miete von Exchange ist unter Betrachtung der Leistungsmerkmale und Sicherhit/Verfügbarkeit haushoch überlegen gegenüber dem Neukauf aller Lizenzen und der Aufrüstung der Server. Zudem entfällt der hohe Migrationsaufwand dann nach vollendeter Exchange Online-Migration für die Zukunft.

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0688

Systemkoordinatoren, die neuere Versionen einsetzen, haben neben dem Installieren des Sicherheitpatches erst wieder Handlungsbedarf, wenn die Hardware Garantie abläuft. Dann wird die Online Migration auch für diese Szenarien wirtschaftlich und interessant.

Bei Fragen nach einem Exchange Angebot hilft Ihnen unser technischer Vertrieb rund um Teamleiter Andreas Lübke.
Für Unterstützung bei der Installation eröffnen Sie bitte einen Supportvorgang.

Sorgenfrei gepatcht mit Managed | Server

Wußten Sie schon: Mit Managed | Server übernehmen wir das Patchen und Testen dder Patches zu einem vereinbarten Wartungsfenster für Sie und Sie müssen nicht tätig werden. Infos zu den Managed Services gibt's im Team von Marco Klenner.

Kontakt gern auch über das Kontaktformular hier.

Remote Desktop Connection Manager eingestellt - Alternativen

Microsoft hat den Download für seinen Remote Desktop Connection Manager #RDCMAN entfernt. Die Weiterentwicklung ist eingestellt. Hinter der Einstellung steckt eine Sicherheitslücke im Programm, die es Angreifern ermöglicht, mit manipulierten RDP-Dateien auf Dateien auf dem Admin-PC zuzugreifen. Damit sie genutzt werden kann, muss der Admin diese RDG-Datei aber erstmal ausführen. Normalerweise sind RDG-Dateien aber selbst erstellt vom Admin und gelangen nicht in Hände Dritter. Auch werden keine RDG-Dateien aus dem Internet ausgeführt:

- RDCMan is vulnerable to CVE-2020-0765 (opening malicious RDG files lets attackers retrieve files from your system)

Die ferngewarteten Server sind davon nicht betroffen, da RDCMan lediglich den RDP-Client vom Betriebssystem fernsteuert.

Alternativen

Auch wenn die Lücke im Programm keine nennenswerten Sicherheits-Risiken darstellt, gibt es leistungsfähigere Alternativen, die ebenfalls kostenlos sind.

mRemote NG - Open Source

#mRemote NG ist ein Open Source Projekt, dass die Oberfläche für RDP, VNC, Putty, Telnet und HTTP(s) Seiten bildet. So lassen sich aus einer Oberfläche heraus bedienen. Importieren lassen sich .rdg Dateien, Active Directory Objekte und ein IP-Scann kann auch die Server einsammeln. Leider gibt es keine Thumbnails, die auf einer Seite alle geöffneten Serverbildschirme anzeigen.

RDP-Manager - Freeware

Dann gibt es noch den RDP-Manager. Zwar ist er wesentlich größer (Installationspaket 64 MB, installiert 200 MB), kann aber sowohl Voransichten der fernzuwartenden Server anzeigen (Live Thumbnails), als auch VNC-Sitzungen verwalten und Telnet-Sitzungen. Die Software ist also eine Kombination aus RDCMan und MRemote NG. Im Lizenzvertrag stehen keine Einschränkungen seitens der geschäftlichen Nutzung

RDP-Dateien können im Stapel importiert werden, RDG-Dateien leider nicht. Eine SQLite Datenbank verwaltet die Einträge. Schön ist, dass ein Zertifikat für die RDP-Sitzungen installiert werden kann und die lästigen gelben Meldungen entfallen.

Fazit

Auch wenn die neuste Version im Development Channel von September 2019 ist, bietet mRemote NG mit dieser Version mittlerweile die meisten Leistungsmerkmale. Dadurch, dass der Quellcode offen liegt auf Github, könnten Fehler und Sicherheitslücken schnell behoben werden (vorausgesetzt, dort schaut jemand rein). Die entscheidende Neuerung ab Version 1.77 ist, dass nun die RDP DLL von Microsoft aus der Anwendung aufgerufen wird, was die alten Versionen nicht machten.

Wer die Voransichten haben möchte und auf IP-Scan oder RDG Import verzichten möchte, kann den RDP-Manager von cinspiration.de nehmen.

Wichtiges Windows Update für Windows Updates

Alle Ihre Server und Arbeitsplätze mit #Windows 7 Service Pack 1 und Windows #Server 2008 R2 SP1 müssen bis zum 13. August die "Servicing Stack Updates" KB4474419 und KB4490628 installiert bekommen, ansonsten erhalten diese beiden Betriebs-Systeme bereits im September 2019 keine #Sicherheitsupdates mehr.

Bekanntlich ist für diese beiden Betriebs-Systeme das Ende des erweiterten Supports und damit der Sicherheits-Patches ohnehin für Januar 2020 festgelegt. Ohne das oben genannte Update verkürzt sich die Zeit, in der Sie auf Windows 10 Pro/Enterprise bzw. Windows Server 2016 oder 2019 umstellen können, um weitere vier Monate.

Zusätzlich sind auch Windows Software Update Services (WSUS 3.0) betroffen. Die Software stellt keine Updates mehr bereit, wenn sie nicht auch auf den aktuellen Stand gebracht wird. Für WSUS 3.0 ist das Update KB4484071 am 12.03.2019 erschienen. Dieses Update muss manuell aus dem Windows Update-Katalog heruntergeladen und installiert und genehmigt werden.

Handlungsbedarf

Prüfen Sie bitte, ob oben genannte Updates installiert sind. Wenn nicht, oder Sie uns mit der Prüfung und Installation beauftragen möchten, nehmen Sie bitte Kontakt über einen Vorgang mit Bezug auf diesen Artikel mit uns auf.

Setzen Sie bereits unsere Managed Services (https://erpsystem.de/managed-services/) ein? Dann brauchen Sie nichts unternehmen – wir kümmern uns um alles Notwendige.

Hintergrundinformation

Microsoft stellt ihren Update-Mechanismus auf SHA-2 verschlüsselte Pakete um. Dies ist bereits im Vorfeld bei neueren Betriebs-Systemen wie Windows 10 und Windows Server 2016/19 geschehen. Da darüber hinaus lediglich Windows 7 und Server 2008 R2 noch kein Support-Ende haben, müssen diese Plattformen aktualisiert werden.
Für Windows Server 2008 und Windows Vista ist das Update zwar auch erhältlich, beide bekommen aber bereits seit 2018 keine Sicherheits-Updates mehr. Wer also noch "Vista-Server" Windows Server 2008 im Einsatz hat, kann das Update zwar installieren, sollte aber lieber auf die oben genannten neuen Betriebs-Systeme wechseln.

Mittlerweile sind viele Softwareprodukte ohnehin nur unter den aktuell supporteten Windows Umgebungen lauffähig (Windows 10 und Server 2016 oder 2019).

Details und Stichtage

WSUS 3.0 SP2:                  Sicherheitsupdate für SHA2-Unterstützung 12.03.19 erschienen                              SHA2 erforderlich am 16.06.19

WinServer2008SP2:        Sicherheitsupdate für SHA2-Unterstützung 09.04.19 u. 14.05.19 erschienen       SHA2 erforderlich am 16.07.19

Windows 7 SP1:               Sicherheitsupdate für SHA2-Unterstützung 12.03.19 erschienen                              SHA2 erforderlich am 13.08.19

WinServer2008R2SP1:   Sicherheitsupdate für SHA2-Unterstützung 12.03.19 erschienen                              SHA2 erforderlich am 13.08.19

Mehr Informationen: https://support.microsoft.com/de-de/help/4472027/2019-sha-2-code-signing-support-requirement-for-windows-and-wsus

RDP-Lücke BlueKeep in Windows wird aktiv genutzt

Warum zeitnahes Patchen spätestens kurz nach dem #Patchday so wichtig ist, zeigt sich mal wieder anhand der derzeit aktiv ausgenutzten #BlueKeep Lücke im RDP-Protokoll aller #Windows Versionen <8.1:
In #Server 2008 R2 und Server 2012 (ohne R2), sowie in Windows 7 wurde jüngst eine Sicherheitslücke geschlossen, die es ermöglichte, einem Angreifer volle Kontrolle über das Zielsystem zu erlangen und Schadcode auszuführen. Microsoft stuft diese Lücke als kritisch ein.

Nur wer zeitnah (mit WSUS Unterstützung oder direkt) alle Server und Arbeitsplätze der oben genannten Versionen patcht, ist sicher. (CVE-2019-0708)

Hyper-V Replika - genial aber mit versteckten Fallen

Seit Server 2012 R2 ist die Funktion, virtuelle Maschinen auf einen anderen Hyper-V-Host auch über WAN-Leitungen (oder eben über das lokale Netzwerk) zu replizieren, funktionsfähig und verfügbar.

Für alle, die das Vorhaben planen, bei Hardware-Ersatz-Investition den alten Server als Replika-Ziel zu verwenden, hat Microsoft ganz am Ende der Einrichtung nun eine nette Falle eingebaut: Das Ziel-Betriebssystem (also der Host, auf den repliziert wird) muss das gleiche Betriebssystem haben oder neuer sein als das Quellhost-Windows.

Möchte man also einen alten Server für diesen Zweck nutzen, ist es notwendig, eine Betriebssystem-Lizenz des neuen Servers auch für den alten zu erwerben. Da die Host-Betriebssysteme meist aus kaufmännischen Gründen als OEM-Version erworben werden, bedeutet das den Neukauf der Windows Server Lizenz (und je nach Anzahl der replizierten Maschinen auch der additional Core Licenses). 
Seit Server 2016 sind im Basis-Paket 16 Cores (virtuelle Prozessoren) lizensiert. Das entspricht einer 2-Prozessor-Maschine mit jeweils einem 8-Core XEON Prozessor. 

Hat man die Lizenz für den Replika-Server erworben, müssen beide Hosts (Quell-Host und Ziel-Host noch in der selben Domäne Mitglied sein). Solange man nur im lokalen Netzwerk repliziert, kann man sich die Verschlüsselung mit Zertifikaten sparen und verwendet stattdessen die Kerberos-Authentifizierung des Active Directory, damit sich die Hosts verstehen. 
Wer den Replika-Host hiter einer WAN-Leitung betreibt, sollte ein VPN als äußere Schutzschicht verwenden. Auch in diesem Fall müssen nicht zwingend Zertifikate eingesetzt werden. 
Spätestens bei Übertragung der Replika-Daten über das Internet, sind HTTPS-Verschlüsselung und Zertifikate erforderlich, um gesetzlichen Vorschriften zu genügen. 

Die Einrichtung selbst ist dann ein Klacks. Replikaserver empfangsbereit machen, Quell-Server die virtuellen Maschinen, die man benötigt über die rechte Maustaste per Assistent für die Replizierung aktivieren. Der gängige Praxiswert ist die Replikation der Deltas alle 15 Minuten. 

Server-Uhr geht vor (NTP-Quelle)

In der Windows Domäne gelten strenge Regeln für die#Uhrzeit. Dadurch kann sich ein Client nicht mehr an der Domäne anmelden, wenn seine Uhrzeit stark von der Server-Uhrzeit abweicht.
Optimal ist daher, den führenden Domänen-Controller mit externer, amtlicher Uhrzeit zu versorgen. Die weiteren Domänen-Controller müssen so eingestellt sein (werden), dass sie die Uhrzeit vom Domänen-Controller beziehen.
Damit das Ganze funktioniert, muss auf der Firewall der Zugriff auf die amtlichen Zeitserver erlaubt werden. Basis bildet hier das sogenannte NTP Protokoll.
Wenn man am ersten Domänen-Controller die folgenden Befehle einstellt - in einer Eingabeaufforderung (Administrator), wird die Serverzeit amtlich:

w32tm /config /update /manualpeerlist:"0.pool.ntp.org,0x8 1.pool.ntp.org,0x8 2.pool.ntp.org,0x8 3.pool.ntp.org,0x8" /syncfromflags:MANUAL w32tm /config /reliable:yes w32tm /config /update

net stop w32time

net start w32time w32tm /resync /rediscover

Danach müssen alle Clients (am Besten über eine Richtlinie) gezwungen werden, die Zeit vom Server beziehen.

Exchange Server 2019

#Microsoft gibt die System-Voraussetzungen für einen #Exchange #Server 2019 (on premise) bekannt. Wichtig dabei ist die neue Mindest-Arbeitssspeicher-Anforderung:

• 2 Prozessoren
• Mind. 128 GB Arbeitsspeicher*
• Ab 100 GB Festplattenplatz, abhängig von der Postfachdatenbank-Größe

128 GB werden mindestens vorausgesetzt, damit ein mittelgroßer Exchange Server performant betrieben werden kann. Alte Versionen konnten mit 32 GB Arbeitsspeicher arbeiten.

Exchange Server angreifbar

Aktuell existiert eine #Sicherheitslücke in allen #Exchange Versionen, die es ermöglicht, sich administrative Berechtigungen zu erschleichen und z. B. Mails umzuleiten. Da die Lücke im Active Directory (EWS) verankert ist und über den Internet-Zugang auf den Exchange (OWA) erreichbar ist, sollten Sie umgehend handeln und die Lücke schließen (lassen).
Bis ein Update von Microsoft verfügbar ist, lässt sich die Lücke durch Löschen eines Registrierungs-Schlüssels auf dem Exchange Server schließen:

reg delete HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa /v DisableLoopbackCheck /f

Wenn Sie die Lücke nicht selbst schließen möchten oder können, beauftragen Sie uns bitte mit einem (kostenpflichtigen) Vorgang beauftragenund wir sichern Ihren Exchange Server ab.

Quelle: CVE-2018-8581 | Microsoft Exchange Server Elevation of Privilege Vulnerability

Mindestversion Ferrari Officemaster Fax: 6.2.3

Microsoft Exchange Online synchronisiert nur noch über TLS 1.2: Ab Novenber 2018 wird die Microsoft Office365 Cloud die Eingangs-Connectoren zwingend auf TLS Version 1.2 umstellen. Der Exchange BCS-Connector, der für die UMS-Dienste im Messaging Server für die Office365 Cloud zuständig ist, beliefert Rückmeldungen und eingehende Nachrichten (Voicemails, Fax- und SMS-Nachrichten) per SMTP i.d.R. direkt über das Internet zur Office365 Cloud. Standardmäßig wird dabei keine Übertragungsverschlüsselung verwendet. 

Da ab November für eingehende Mails in die Office365 Cloud eine TLS-Verschlüsselung der Version 1.2 vorgeschrieben ist, muss die TLS-Verschlüsselung für den BCS-Connector eingeschaltet werden. TLS 1.2 wird erst ab OfficeMaster 6.2.3 abwärtskompatibel unterstützt. Bisher unterstützte der Connector nur TLS Version 1.0. 

Wann erscheint Server 2019 und wie lange hält er?

Microsoft Windows #Server 2019 ist die Bezeichnung für den LTSC (Long Term Service Channel) bei den Kauflizenzen von #Microsoft für den Einsatz in eigenen Räumlichkeiten (on premise). Er ist auf die Dauer von derzeit 10 Jahren ausgelegt, bevor keine Sicherheits-Updates mehr verfügbar sind. Mit dem Patchday im Oktober 2019 ist das Release geplant. (also am 2. Dienstag im Oktober 2018) Der Server trägt die Bezeichnung 2019 weil das Geschäftsjahr 2019 bei Microsoft am 01. Juli 2018 begann. Server 2019 kann über das Volumen-Lizenzprogramm oder über den OEM-Kanal (mit Server-Hardware) erworben werden. Zusätzlich gibt es eine Miet-Version, die alle 6 Monate Funktions-Updates bekommt. (Semi Annual Branch). Die Miet-Version kann im Open-Vertrag mit Software-Assurance gemietet werden.
#FAQ Kategorie: Server (9)

Windows Server Version 1709 erschienen

Dieser basiert auf dem aktuellen (RS3) Versionsstand 16299.15 wie bei Windows 10. In den Genuss, diese Server-Software einzusetzen (quasi ein Inplace Upgrade auf vorhandene Windows Server 2016 zu machen, kommen aber nur Kunden, die den Server in einer Volumenlizenz erworben haben (MVL) und zusätzlich über eine aktive Software Assurance verfügen. Alle OEM-Kaufversionen vom Server 2016 können nicht auf den neuen Stand gebracht werden. Mitte 2018 Werden die OEMs eine neue Kaufversion vom Server mit ausliefern: "Windows Server 2019". Die Release-Strategie ist damit identisch mit der vom Microsoft Office: * Kauf bzw. OEM-Kunden müssen das nächste Release kaufen * Nur Volumenlizenzkunden mit Software-Assurance und Office 365 Mietkunden erhalten die Upgrades im Rahmen der Laufzeit des Wartungsvertrages. Lediglich bei Windows 10 sind derzeit noch die Upgrades 2x im Jahr (XX03 und XX09) noch kostenlos. (Post ID:399)

Exchange und Office 2007 End of life

n rn
Exchange 2007 wird am 11.04.2017 und Office am 10.10.2017 unsicher! Ab diesem Termin werden keine Sicherheitsupdates für diese beiden Produkte mehr von Microsoft erstellt. Wenn Sie eines der beiden Produkte dann noch im Einsatz haben, steigt die Gefahr einer Infektion mit z.B. Verschlüsselungs-Trojanern.rnrnFolgende Situationen können auf Sie zutreffen, die dazu führen, dass Sie keine Lizenzen neu erwerben müssen:rn* Ihr Unternehmen verfügt bereits über eine neuere Exchange Lizenz (z.B. Version 2010), zum Zeitpunkt der Installation war Ihre Hardware-Umgebung noch nicht dafür geeignet bzw. eine Aktualisierung damals mit weiteren Zusatzkosten verbunden. Eine Aktualisierung auf eine neuere Version umfasst damit im Regelfall das Bereitstellen notwendiger Rechner-Resourcen bzw. zusätzlicher virtueller Maschine und die Dienstleistung zur Migration. Je nach Ziel-Version des neuen Exchange muss die Migartion dann zweistufig erfolgen.rnrn* Office 2010 oder neuere Lizenzen liegen bereits vor, weil unter Terminalservern bereits 2007er Office in Betrieb waren, sind die neueren Lizenz per Downgraderecht auf 2007 installiert worden. In diesem Fall müssen Sie nur die Office 2007 Lizenzen, die als solche gekauft wurden, neu lizenzieren und die Terminalserver auf das neuere Office umstellen lassen. Beispiel: Sie verfügen über 5 Office 2007 Standard Volumenlizenzen und 10x Office 2013 Std und 3x Office 2016 Std. Mit Zukauf von 5x Office 2016 Standard können die Terminalserver auf Office 2013 Standard umgestellt werden, sofern das dort betriebene Windows Server Betriebssystem nicht zu alt ist oder zu wenig Ressourcen zur Verfügung stehen. rnrn* Wenn überwiegend Office 2007 Lizenzen vorhanden sind, ist eine Umstellung auf das Mietmodell (Office 365 Pläne) betriebswirtschaftlich attraktiver.rnrnSprechen Sie uns an und lassen Sie Ihre Exchange- und Office-Umgebung auf den aktuellen Stand bringen. (Letzte Revision: 08.12.2016 11:18:33) (Post ID:317)n

Windows Server 2016 erschienen

n rn
Ab sofort stehen für Volumenlizenzkunden und MSDN-Abonnenten die Standard- und Datacenter Editionen von Server 2016 zum Download zur Verfügung. Server 2016 basiert etwa auf dem Stand von Windows 10 Anniversary Update (ein 14000er build). Da der Server wieder ein Start-Menü hat, ist er für Kunden, die neue Server einführen und diese als Terminalserver verwenden, interessant. Für den Benutzer sieht dann die Terminalsitzung aus wie sein lokales Windows 10.rnrnWie bei allen Servern, gibt es ein Upgrade nur, wenn man eine Software-Assurance hat. Ansonsten werden sukzessive bei Neukauf von Server-Hardware die neuen Versionen ausgeliefert. Der Zeitpunkt der Auslieferung und Unterstützung dieses neuen Betriebssystems durch die GWS wird erst nach Ende der Pilotphase erfolgen. Bis dahin ausgelieferte neue Server können das Downgraderecht auf Server 2012R2 nutzen.rnrnEine wichtige Änderung ist die Lizenzierung. So wird Server 2016 nicht mehr nach Hardware-CPUs (Sockets), sondern nach Cores lizenziert. Hierbei stellen 16 Cores die Basiseinheit dar. Der Preis für eine 1-Prozessor-Maschine mit max. 16 Cores liegt damit laut Microsoft etwa wie bei Server 2012 R2. Ebenso bei einer Zwei-Prozessor-Hostmaschine mit 2 OctaCore CPUs. Sind mehr Kerne in der Hardware vorhanden, muss die Lizenz (in jeweils 2Core-Paketen) größer dimensioniert werden.rnDie Editionen sind weiterhin Standard (2VMs) und Datacenter (beliebig viele VMs). Zusätzlich bekommt die Datacenter Edition mehr Rechenzentrum Features (Nanoserver, beliebig viele Hyper-V-Container).rn (Letzte Revision: 13.10.2016 15:48:27) (Post ID:310)n

Windows Server 2016, CTP5 ist erschienen

n rn
und hat an der Oberfläche keine sichtbaren Veränderungen. Das Ablaufdatum der Version ist nun auf 01.03.2017 datiert und man benötigt einen Lizenzschlüssel zum Installieren.rnGemäß der Namenskonvention müsste der Server noch vor dem 01.07.2016 erscheinen, da am 30.6. das Fiskaljahr 2017 für Microsoft beginnt. Bisher hat die Benennung der Versionen immer zur Jahreszahl des Fiskaljahres gepasst.rnrnÄnderungen gibt es vor allem bei der Cloud-Unterstützung (nano-Server), der Remote-Administration und der Lizenzierung. Nunmehr wird (wie schon beim SQL-Server) auf Core-Basis lizenziert und nicht pro CPU (socket) wie bisher. Setzt man in Zukunft CPUs mit mehr als 8 Kernen ein, wird es deutlich teurer. Außerdem soll die Lizenz-Mobilität eingeschränkt werden. Mehr Details hierzu nach dem Release-Termin. Es bleibt spannend, wann der endgültige Erscheinungstermin nun festgelegt wird. (Post ID:284)n